Содержание
Персональные данные — это не только клиентские базы. Фамилии и телефоны сотрудников в 1С, резюме кандидатов в почте, заявки с формы на сайте, контакты в CRM — всё это персональные данные, а компания, которая определяет цели их обработки, — оператор. Закон № 152-ФЗ «О персональных данных» требует от оператора уведомить Роскомнадзор о своём намерении обрабатывать данные, и с 2022 года это требование касается практически всех. Ниже — как выполнить его правильно, с точными ссылками на нормы.
Кто обязан подавать уведомление в Роскомнадзор
Часть 1 статьи 22 закона № 152-ФЗ формулирует обязанность прямо: оператор до начала обработки персональных данных уведомляет уполномоченный орган — Роскомнадзор — о своём намерении её осуществлять. Оператором может быть юридическое лицо, ИП, государственный или муниципальный орган, нотариус и даже физическое лицо — все эти типы перечислены в форме на портале РКН.
До сентября 2022 года у правила были широкие исключения: можно было не уведомлять, если обрабатываются только данные сотрудников или данные по договору. Федеральный закон № 266-ФЗ от 14.07.2022 эти пункты отменил. Сейчас в части 2 статьи 22 осталось только три случая, когда уведомление не нужно:
- данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
- оператор обрабатывает данные исключительно без средств автоматизации — то есть только на бумаге;
- обработка ведётся в случаях, предусмотренных законодательством о транспортной безопасности.
На практике под исключения не попадает почти никто: кадровый учёт в 1С, бухгалтерская программа, CRM, электронная почта и форма обратной связи на сайте — это уже средства автоматизации.
Правило «мы работаем только с данными своих сотрудников, поэтому уведомление не нужно» устарело в сентябре 2022 года. Сейчас такая обработка тоже требует уведомления.
Штрафы за работу без уведомления
С 30 мая 2025 года действует часть 10 статьи 13.11 КоАП РФ (введена Федеральным законом от 30.11.2024 № 420-ФЗ): невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные влечёт штраф:
- для граждан — от 5 000 до 10 000 рублей;
- для должностных лиц — от 30 000 до 50 000 рублей;
- для юридических лиц — от 100 000 до 300 000 рублей.
Тем же законом введена и отдельная, более тяжёлая ответственность за несообщение в Роскомнадзор о факте утечки персональных данных: для юридических лиц — от 1 до 3 миллионов рублей (часть 11 статьи 13.11 КоАП РФ). Уведомление об обработке — самый дешёвый пункт комплаенса по 152-ФЗ: его подача бесплатна, а штраф за молчание сопоставим с годовым бюджетом на всю защиту данных в небольшой компании.
Какие сведения указывают в уведомлении
Состав уведомления задан частями 3 и 3.1 статьи 22 закона № 152-ФЗ. Понадобятся:
- наименование и адрес оператора;
- цели обработки, а по каждой цели — категории персональных данных, категории субъектов, правовое основание, перечень действий с данными и способы обработки;
- описание мер по статьям 18.1 и 19 закона, в том числе сведения о наличии шифровальных (криптографических) средств и их наименования;
- ФИО или наименование ответственного за организацию обработки, его телефон, почтовый адрес и e-mail;
- дата начала обработки и срок или условие её прекращения;
- сведения о наличии или отсутствии трансграничной передачи данных;
- местонахождение базы данных с персональными данными граждан России;
- сведения об обеспечении безопасности данных по требованиям Правительства РФ.
Сведения из уведомления Роскомнадзор вносит в общедоступный реестр операторов — закрытыми остаются только сведения о средствах обеспечения безопасности (ч. 4 ст. 22 152-ФЗ). Заполнять форму «на глаз» не стоит: написанное увидит любой, включая самого регулятора при проверке.
Как подать уведомление: портал, Госуслуги или бумага
Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. Заполняются они на Портале персональных данных Роскомнадзора — там же, где ведётся реестр операторов. Порядок такой:
- Открыть электронную форму уведомления и заполнить сведения: регион, тип оператора, данные организации, цели обработки, категории данных и субъектов, меры защиты, ответственного.
- Выбрать способ отправки. Их три: в электронном виде через ЕСИА — с учётной записью Госуслуг; в электронном виде с усиленной квалифицированной электронной подписью; на бумаге — распечатать сформированное уведомление, подписать у уполномоченного лица и направить в территориальный орган Роскомнадзора по месту регистрации.
- Дождаться внесения в реестр: по части 4 статьи 22 на это у Роскомнадзора 30 дней с даты поступления уведомления.
Подача бесплатна — часть 5 статьи 22 прямо запрещает возлагать на оператора расходы в связи с рассмотрением уведомления и внесением в реестр.
Как проверить, что уведомление принято
На том же портале есть сервис «Проверка состояния уведомления» — по нему видно, дошло ли уведомление и на какой оно стадии. Итог обработки проверяется в реестре операторов: найдите свою организацию по названию или ИНН. Запись в реестре — это и есть подтверждение, что обязанность исполнена; отдельного «свидетельства оператора» не существует.
Изменения и прекращение обработки: когда уведомлять повторно
Уведомление — не разовое действие. Часть 7 статьи 22 устанавливает два продолжающихся обязательства:
| Ситуация | Что подавать | Срок |
|---|---|---|
| Начинаете обработку персональных данных | Первичное уведомление | До начала обработки (ч. 1 ст. 22) |
| Изменились сведения из уведомления — цель, категории данных, ответственный, адрес, состав систем | Уведомление об изменении сведений | Не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22) |
| Прекратили обработку | Уведомление о прекращении обработки | В течение 10 рабочих дней с даты прекращения (ч. 7 ст. 22) |
Все три формы заполняются на портале РКН одинаковым образом; для корректирующего уведомления форма позволяет подтянуть данные из ранее направленного.
Что должно стоять за уведомлением
В уведомлении оператор заявляет регулятору цели обработки, правовые основания, меры защиты и применяемые криптосредства. Каждое из этих утверждений должно на что-то опираться: на политику обработки персональных данных, приказы о назначении ответственного, акты определения уровня защищённости, согласия субъектов, модель угроз, документы по применению СКЗИ. Именно этот пакет Роскомнадзор запрашивает при проверке — уведомление лишь его верхушка.
Собирать пакет вручную по шаблонам из интернета рискованно: комплект должен быть согласован между собой и с тем, что написано в уведомлении.
Как 152DOC готовит уведомление и весь пакет по 152-ФЗ
152DOC — облачный сервис компании «Цифровые документы» для операторов персональных данных. Он ведёт оператора по шагам: данные организации автоматически подтягиваются из ЕГРЮЛ по ОГРН, мастер помогает описать цели обработки, системы и меры защиты, а на выходе формируется согласованный пакет — более 25 видов документов и готовое уведомление в Роскомнадзор, первичное и корректирующее, с выгрузкой в PDF для отправки.
Помимо уведомления сервис формирует полный комплект организационно-распорядительных документов (политику обработки ПДн, приказы, акты), документы по применению СКЗИ, согласия на обработку через конструктор, модель угроз — и проверяет сайт компании на cookies и метрики с рекомендациями по приведению в соответствие 152-ФЗ. Работает в браузере, без установки; данные хранятся в аттестованном ЦОД на территории России, подключение возможно по каналу с шифрованием по ГОСТ.
Товар 152DOC для 1С от 30 000 ₽ Смотреть →Тарифы отличаются тем, кто заполняет данные:
| Расширенный | Эксперт | |
|---|---|---|
| Кто вносит данные организации | Вы сами — с мастером, подсказками и онлайн-чатом | Документалисты сервиса, по опросному листу |
| Первичное заполнение ОРД и уведомления специалистами | — | Включено |
| Телефонные консультации при первичном заполнении | — | До 4 консультаций, до 8 часов |
| Консультация по работе с готовыми документами | — | Включена |
| Лицензия на год, при штате до 50 сотрудников | 30 000 ₽ | 66 000 ₽ |
Для тарифа «Эксперт» цена зависит от числа сотрудников в штате — чем больше штат, тем больше данных вносят документалисты. 152DOC включён в реестр российского ПО (запись № 17310), поэтому лицензия не облагается НДС; как читать реестровую запись, мы разбирали в статье о реестре российского ПО. Счёт на 152 док выставляем на юридическое лицо, с лицензионным договором и закрывающими документами.
Если документы по 152-ФЗ нужно привести в порядок разово и своими силами — начните с тарифа «Расширенный»:
Частые вопросы
Нужно ли ИП подавать уведомление в Роскомнадзор? +
Да. Индивидуальный предприниматель — такой же оператор персональных данных, как юридическое лицо: он обрабатывает данные сотрудников и клиентов. Исключения для ИП те же три, что и для всех (ч. 2 ст. 22 152-ФЗ), и на практике они почти не встречаются.
Мы давно обрабатываем данные, а уведомление не подавали. Что делать? +
Подать его как можно быстрее. Обязанность уведомить закон связывает с самой обработкой, и пока уведомления нет — нарушение продолжается, а с 30 мая 2025 года за него действует штраф до 300 000 рублей для юридических лиц. Форма на портале РКН заполняется за один рабочий день, если данные о системах и мерах защиты под рукой.
Можно ли подать уведомление через Госуслуги? +
Да. На портале персональных данных Роскомнадзора уведомление отправляется в электронном виде с использованием средств аутентификации ЕСИА — по учётной записи Госуслуг. Альтернативы — усиленная квалифицированная электронная подпись или бумажное уведомление в территориальный орган.
Сколько стоит подача уведомления? +
Нисколько: часть 5 статьи 22 закона № 152-ФЗ запрещает возлагать на оператора расходы за рассмотрение уведомления и внесение в реестр. Платными бывают только услуги по подготовке — например, работа документалистов в тарифе «Эксперт» сервиса 152DOC.
У нас на сайте только форма обратной связи. Мы оператор? +
Да. Имя и телефон из формы — персональные данные, сайт — средство автоматизации, а цель обработки определяете вы. Значит, компания — оператор и уведомление нужно. Заодно проверьте сайт на cookies и счётчики аналитики: 152DOC делает такую проверку автоматически и даёт рекомендации.
{{note:info:Материал справочный: мы пересказали нормы 152-ФЗ, КоАП РФ и порядок работы портала Роскомнадзора с точными ссылками, но статья не заменяет юридическую консультацию. Спорные ситуации применительно к вашим процессам стоит обсудить с юристом по защите персональных данных.}}
